Het grote IPv6 topic

[boonie]

Ik gebruik ook een HE tunnel en merk niets van traagheid. Mijn tunnel termineert in mijn Fritz!box. Voor de clients is het net een native verbinding.

Heb je ICMP voor V6 geblokkeerd waardoor path-mtu discovery niet werkt? Je zou je MTU eens tijdelijk kunnen verkleinen.

Heb je al eens ping testen gedaan?

Gebruik je XP? Daar zit iets niet lekker in waardoor je gelimiteerd bent op zo'n 300 tot 400 KB/s maar dat zou je niet moeten merken met surfen.

[Loekie]

boonie schreef op maandag 01 november 2010 @ 07:53:
Ik gebruik ook een HE tunnel en merk niets van traagheid. Mijn tunnel termineert in mijn Fritz!box. Voor de clients is het net een native verbinding.

Hmmm, ik ben benieuwd naar hoe je dat gedaan hebt, hier lukte het met 7270 met laatste IPv6 firmware niet.

[Keiichi]

Is bij iemand overigens dumpert.nl via ipv6 te bereiken. Het lijkt er op dat ze zonder te denke ipv6 geimplementeerd hebben zonder te testen of het goed werkt

[DDX]

Hier wel ja :

]# telnet www.dumpert.nl 80
Trying 2a00:d00:ff:235:81:23:247:230...
Connected to www.dumpert.nl (2a00:d00:ff:235:81:23:247:230).
Escape character is '^]'.

Via xs4all netwerk.
Via Level3 netwerk net zoals google geen route bekend...

[ Voor 13% gewijzigd door DDX op 01-11-2010 12:25 ]

[Keiichi]

Ben net nog even tegen een mooi tooltje van ripe aangelopen: http://www.ripe.net/ris/index.html

Op http://www.ris.ripe.net/dashboard/2001:838::/32 kan ik bv zien dat de prefix waar mijn adressen in zitten vrij goed wereldwijd geadverteerd is.

[CAPSLOCK2000]

't pingt wel maar http heeft er nog geen zin in.

GeenStijl heeft sinds heel kort een echte IPv6 aansluiting (ze hebben al een tijdje een ipv6 proxy gehad, maar nu doen ze echt native IPv6.

Ik heb begrepen dat dumpert de volgende op de todo lijst is maar dat er wat problemen met de proxy omdat dumpert nogal veel traffic heeft.

[Keiichi]

CAPSLOCK2000 schreef op maandag 01 november 2010 @ 13:29:
't pingt wel maar http heeft er nog geen zin in.

GeenStijl heeft sinds heel kort een echte IPv6 aansluiting (ze hebben al een tijdje een ipv6 proxy gehad, maar nu doen ze echt native IPv6.

Ik heb begrepen dat dumpert de volgende op de todo lijst is maar dat er wat problemen met de proxy omdat dumpert nogal veel traffic heeft.

Het vreemde is dat op bepaalde hosts van mij ik wel zonder probleme telnet -6 www.dumpert.nl 80 kan doen en dan een GET / waarbij ik iets terugkrijg.

Mijn netwerkstructuur: 'mijn pc' -> 'tunnel client' -> 'tunnel server' -> 'native ipv6' . Waarbij eigenlijk alles in eigenlijk beheer is.

Op 'mijn pc' werkt het niet, maar op 'tunnel client' weer wel en 'tunnel server' ook.

[moto-moi]

Ik vroeg mij dit weekend af waarom eigenlijk alle ip's die ik tegenkom met 2001: beginnen (nouja, op locale ip's fe80 na dan), is daar een speciale reden voor

[CyBeR]

moto-moi schreef op maandag 01 november 2010 @ 14:00:
Ik vroeg mij dit weekend af waarom eigenlijk alle ip's die ik tegenkom met 2001: beginnen (nouja, op locale ip's fe80 na dan), is daar een speciale reden voor

Dat is al niet meer zo hoor, maar dat is gewoon heel simpel waar ze begonnen zijn met uitgifte nadat 3ffe:: deprecated werd. 2000::/3 is de huidige global unicast address range. De rest vind je hier: http://www.iana.org/assig.../ipv6-address-space.xhtml

[ Voor 15% gewijzigd door CyBeR op 01-11-2010 14:04 ]

[Keiichi]

moto-moi schreef op maandag 01 november 2010 @ 14:00:
Ik vroeg mij dit weekend af waarom eigenlijk alle ip's die ik tegenkom met 2001: beginnen (nouja, op locale ip's fe80 na dan), is daar een speciale reden voor

Dan heb je niet goed gekeken. Blokken die ik oa voorbij zie komen zijn: 2002, 2404, 2a02, 2607, 2a00

Volgens mij is 2001::/8 wel het eerste blok waar subnetten uit gehaald werden.

[CAPSLOCK2000]

Keiichi schreef op maandag 01 november 2010 @ 13:43:
[...]


Het vreemde is dat op bepaalde hosts van mij ik wel zonder probleme telnet -6 www.dumpert.nl 80 kan doen en dan een GET / waarbij ik iets terugkrijg.

Mijn netwerkstructuur: 'mijn pc' -> 'tunnel client' -> 'tunnel server' -> 'native ipv6' . Waarbij eigenlijk alles in eigenlijk beheer is.

Op 'mijn pc' werkt het niet, maar op 'tunnel client' weer wel en 'tunnel server' ook.

Ik gok dat het aan de loadbalancer aan hun kant kijkt die een (verkeerde) beslissing neemt op grond van je IP adres.

[CyBeR]

Keiichi schreef op maandag 01 november 2010 @ 14:03:
[...]


Dan heb je niet goed gekeken. Blokken die ik oa voorbij zie komen zijn: 2002, 2404, 2a02, 2607, 2a00

Volgens mij is 2001::/8 wel het eerste blok waar subnetten uit gehaald werden.

/16.

[axis]

Ik hier ook nog wat geschreven om onze klanten en leveranciers over te halen om met ipv6 te beginnen. Nu nog simpele pagina, misschien dat ik er later wat groters neerzet als ik nog wat interessants te vertellen heb: http://ipv6.netmatch.nl

[CyBeR]

axis schreef op maandag 01 november 2010 @ 15:06:
Ik hier ook nog wat geschreven om onze klanten en leveranciers over te halen om met ipv6 te beginnen. Nu nog simpele pagina, misschien dat ik er later wat groters neerzet als ik nog wat interessants te vertellen heb: http://ipv6.netmatch.nl

Is er nog een reden dat mensen met wat minder zicht dit niet mogen lezen?

[axis]

CyBeR schreef op maandag 01 november 2010 @ 15:10:
[...]
Is er nog een reden dat mensen met wat minder zicht dit niet mogen lezen?

Die kunnen inzoomen met CTRL +

[Beaves]

axis schreef op maandag 01 november 2010 @ 15:12:
[...]

Die kunnen inzoomen met CTRL +

Misschien een raar concept, maar het is gebruikelijk dat de ontwikkelaar van een site rekening houdt met zijn bezoekers i.p.v. andersom.

[axis]

Beaves schreef op maandag 01 november 2010 @ 15:14:
[...]

Misschien een raar concept, maar het is gebruikelijk dat de ontwikkelaar van een site rekening houdt met zijn bezoekers i.p.v. andersom.

De doelgroep is anders dan voor een gemiddelde site, maar bedankt voor jullie beider feedback, ik zet 'm wel op standje bejaardenfont

[CyBeR]

axis schreef op maandag 01 november 2010 @ 15:16:
[...]

De doelgroep is anders dan voor een gemiddelde site, maar bedankt voor jullie beider feedback, ik zet 'm wel op standje bejaardenfont

Nou ja dat is niet waar ik op doelde, maar je had 't zo ontzettend klein staan dat zelfs ik (26 jaar oud) er niet eens aan wilde beginnen. Eigenlijk is het het beste om helemaal niet aan de font-sizes te komen voor normale tekst. Btw, een maximum breedte instellen is ook een goed idee. De regels zijn nu veel en veel te lang.

Vergelijk:
http://www.cyberhq.nl/~marco/netmatch_goed.png
http://www.cyberhq.nl/~marco/netmatch_teklein.png

[ Voor 16% gewijzigd door CyBeR op 01-11-2010 15:24 ]

[axis]

CyBeR schreef op maandag 01 november 2010 @ 15:18:
[...]


Nou ja dat is niet waar ik op doelde, maar je had 't zo ontzettend klein staan dat zelfs ik (26 jaar oud) er niet eens aan wilde beginnen. Eigenlijk is het het beste om helemaal niet aan de font-sizes te komen voor normale tekst. Btw, een maximum breedte instellen is ook een goed idee. De regels zijn nu veel en veel te lang.

Vergelijk:
http://www.cyberhq.nl/~marco/netmatch_goed.png
http://www.cyberhq.nl/~marco/netmatch_teklein.png

True, maar je kunt je browser venster ook kleiner maken, en dan kan iedereen de juiste tekstbreedte kiezen die hij of zij zelf fijn vindt.. Zo deden we dat vroegah

Heb nu de tabellen weggehaald (anders kom je met breedte in de knoop), font sizes weggehaald, en max width van 750px ingesteld. Beter?

[CyBeR]

axis schreef op maandag 01 november 2010 @ 15:34:
[...]

True, maar je kunt je browser venster ook kleiner maken, en dan kan iedereen de juiste tekstbreedte kiezen die hij of zij zelf fijn vindt.. Zo deden we dat vroegah

Ook vroegah was 't beter om je aan te passen aan je lezer, hoor

Heb nu de tabellen weggehaald (anders kom je met breedte in de knoop), font sizes weggehaald, en max width van 750px ingesteld. Beter?

Kijk, nu heb je een leesbare pagina gemaakt

[boonie]

Dumpert heeft een MTU probleem. Ik heb ze een mail gedicht.

Met een MTU van 1480 werkt het wel goed, op 1500 niet.

[Raven]

boonie schreef op maandag 01 november 2010 @ 07:53:
Ik gebruik ook een HE tunnel en merk niets van traagheid. Mijn tunnel termineert in mijn Fritz!box. Voor de clients is het net een native verbinding.

Heb je ICMP voor V6 geblokkeerd waardoor path-mtu discovery niet werkt? Je zou je MTU eens tijdelijk kunnen verkleinen.

Heb je al eens ping testen gedaan?

Gebruik je XP? Daar zit iets niet lekker in waardoor je gelimiteerd bent op zo'n 300 tot 400 KB/s maar dat zou je niet moeten merken met surfen.

Aan wie vraag je dat?

In geval van mijn niet werkende verbinding, ping6 via Putty op pfSense:

code:

[[e-mail]]/root(1): ping6 -c 4 ipv6.google.com
PING6(56=40+8+8 bytes) 2001:470:1f14:e04::2 --> 2a00:1450:8001::93
ping6: sendmsg: Operation not permitted
ping6: wrote ipv6.l.google.com 16 chars, ret=-1
ping6: sendmsg: Operation not permitted
ping6: wrote ipv6.l.google.com 16 chars, ret=-1
ping6: sendmsg: Operation not permitted
ping6: wrote ipv6.l.google.com 16 chars, ret=-1
ping6: sendmsg: Operation not permitted
ping6: wrote ipv6.l.google.com 16 chars, ret=-1

--- ipv6.l.google.com ping6 statistics ---
4 packets transmitted, 0 packets received, 100.0% packet loss

ICMP toegestaan, anders wilde HE niet eens een tunnel aanmaken.

Icingdeath schreef op zondag 31 oktober 2010 @ 23:34:
Goed om te horen dat ipv6 support er dan eindelijk aan zit te komen voor Pfsense
Binnenkort maar bleeding edge draaien dan.

Het configureren van ipv6 in freebsd bij pfsense zoals in die link hierboven werkt goed, draait nu zo al een maand of 4 zonder problemen

Kan overigens wel merken of een site over ipv6 bereikbaar is, want die tunnel broker (he.net) die ik gebruik is hier behoorlijk traag.

Hmm, zie jij dan toevallig wat ik verkeerd gedaan heb?

[ Voor 17% gewijzigd door Raven op 01-11-2010 23:31 ]

[boonie]

Raven schreef op maandag 01 november 2010 @ 23:23:
[...]
Aan wie vraag je dat?

Icingdeat schreef:

Kan overigens wel merken of een site over ipv6 bereikbaar is, want die tunnel broker (he.net) die ik gebruik is hier behoorlijk traag.

En daar reageerde ik op

Om op jouw probleem te reageren: Heb je de IP's niet verwisseld van jouw tunnel endpoint en van de /64 voor je clients?

[Raven]

Ah okee.

Ehm, volgensmij niet. Dat verklaart deze melding overigens toch niet?

code:

rtadvd[59373]: <getconfig> em0 isn't defined in the configuration file or the configuration file doesn't exist. Treat it as default

(Zie vorige post)

[ Voor 3% gewijzigd door Raven op 02-11-2010 18:55 ]

[Roetzen]

Alleen maar de koppen en de links...

IPv6 Task Force wil meer budget
Erik Huizer vindt dat de acceptatie van IPv6 te langzaam gaat. Meer budget moet de adoptie versnellen.Om de acceptatie van IPv6 een laatste impuls te geven, heeft de IPv6 Task Force meer budget nodig. Dat zegt voorzitter Erik Huizer. De Minister van Economische Zaken weigerde dit voorjaar nog in te gaan op het verzoek van de kamer om het budget van de Task Force te verhogen. Eén van de argumenten daarvoor was dat de IPv6-adoptie voldoende zou toenemen.

http://www.computable.nl/...orce-wil-meer-budget.html

IPv6 mist killer content voor snelle invoering
Het internetprotocol versie 6 (IPv6) mist zogeheten 'killer content' waardoor het snel door bedrijven en organisaties zal worden ingevoerd, aldus Computable-expert Paul Boot. Hij sprak met drie collega's over IPv6 tijdens een rondetafelsessie die Computable organiseerde in zijn stand op de vakbeurs Infosec in de Jaarbeurs Utrecht.

http://www.computable.nl/...oor-snelle-invoering.html

[databeestje]

Ik zal wel even een fatsoenlijk houtoe in elkaar knutselen waar volledig alle stappen instaan welke nodig zijn om vanaf een huidige 2.0-BETA4 mijn boom in te laden van http://rcs.pfsense.org/projects/pfsense/repos/pfSense-smos

Daarna kan ik de rest via de webui configureren. Thuis op de bank met M'n macbook werkt het in ieder geval prima. DHCPv6 voor de lan zijde nog niet werkend kunnen krijgen. De prioriteiten verschuiven dagelijks. De route advertising deamon doet het wel en stateless autoconfig doet zijn werk.

Inmiddels werkt static routing met ipv6 al wel, een klant in amerika heeft mijn ipv6 code nodig. Ze zaten er kennelijk nog al om te springen :-)

Ik heb het inmiddels ook voor elkaar gekregen om een CARP vip aan te maken via de webui voor het LAN. Hij is nog te pingen vanaf het internet ook. De volgende stap is een ipv6 CARP cluster maken voor failover.

Het gaat vooruit!

[Raven]

Raven schreef op maandag 01 november 2010 @ 23:23:
[...]
Aan wie vraag je dat?

In geval van mijn niet werkende verbinding, ping6 via Putty op pfSense:

code:

[[e-mail]]/root(1): ping6 -c 4 ipv6.google.com
PING6(56=40+8+8 bytes) 2001:470:1f14:e04::2 --> 2a00:1450:8001::93
ping6: sendmsg: Operation not permitted
ping6: wrote ipv6.l.google.com 16 chars, ret=-1
ping6: sendmsg: Operation not permitted
ping6: wrote ipv6.l.google.com 16 chars, ret=-1
ping6: sendmsg: Operation not permitted
ping6: wrote ipv6.l.google.com 16 chars, ret=-1
ping6: sendmsg: Operation not permitted
ping6: wrote ipv6.l.google.com 16 chars, ret=-1

--- ipv6.l.google.com ping6 statistics ---
4 packets transmitted, 0 packets received, 100.0% packet loss

Ping6 naar ::1 geeft hetzelfde, dan heb ik de config echt verkloot denk ik dan

edit: pfSense -> System -> Advanced -> "Allow IPv6 traffic" stond uitgevinkt
Ping6'en naar ::1 en ipv6.google.com werkt, later van de week maar eens kijken of de clients er nu gebruik van kunnen maken.

[ Voor 36% gewijzigd door Raven op 03-11-2010 23:45 ]

[Roetzen]

Beveiliging IPv6 is simpel, niet eenvoudig

De beveiliging van netwerken onder het internetprotocol versie 6 (IPv6) is in principe gelijk aan die van de huidige netwerken die werken onder IPv4. Toch zijn er een paar zaken die je beslist niet over het hoofd mag zien, zeggen de Computable-experts die deelnamen aan de rondetafelsessie over IPv6. Die organiseerde Computable op de vakbeurs Infosec in de Jaarbeurs Utrecht. ==>

http://www.computable.nl/...impel-niet-eenvoudig.html

Niet alle applicaties spreken IPv6
Ook browsers moeten aangepast worden

Bij een overstap van internetprotocol versie 4 naar versie 6 (IPv6) moet niet alleen hardware worden aangepast. Ook software zal via het nieuwe protocol moeten kunnen communiceren. Dat stellen de Computable-experts die deelnamen aan de IPv6-rondetafelsessie die Computable hield op de vakbeurs Infosec in de Jaarbeurs Utrecht. ==>

http://www.computable.nl/...icaties-spreken-ipv6.html

[ Voor 32% gewijzigd door Roetzen op 04-11-2010 14:02 ]

[databeestje]

@raven: Even het een en ander aan het screenshotten geweest en dat in een kort begeleidend schrijven gestort. Geen idee of je het nog nodig hebt, misschien wel nuttig voor anderen die thuis een pfSense router hebben of er gewoon mee willen experimenteren.

Houtoe:
http://iserv.nl/files/pfsense/ipv6/

[Kompaan]

Ik heb thuis ook een pfSense routertje draaien, ik gaat dit ook maar eens proberen. Dankjewel.

[bdegroot]

databeestje schreef op donderdag 04 november 2010 @ 11:11:
@raven: Even het een en ander aan het screenshotten geweest en dat in een kort begeleidend schrijven gestort. Geen idee of je het nog nodig hebt, misschien wel nuttig voor anderen die thuis een pfSense router hebben of er gewoon mee willen experimenteren.

Houtoe:
http://iserv.nl/files/pfsense/ipv6/

Ik zie dat je met name werkt met de HE tunnels.
Nu maak ik gebruik van sixxs, en die techniek is net weer even anders. Is er een manier om dat ook werkend te krijgen?

Ik heb het nu custom made (met eigen scriptjes) draaien op mijn Pfsense bak, maar het zou mooi zijn indien dat in de interface wordt meegenomen (zoals bij M0n0wall reeds het geval is).

[Raven]

databeestje schreef op donderdag 04 november 2010 @ 11:11:
@raven: Even het een en ander aan het screenshotten geweest en dat in een kort begeleidend schrijven gestort. Geen idee of je het nog nodig hebt, misschien wel nuttig voor anderen die thuis een pfSense router hebben of er gewoon mee willen experimenteren.

Houtoe:
http://iserv.nl/files/pfsense/ipv6/

Ehm, tenzij jouw howto ondertussen ook geschikt is gemaakt voor v1.2.3 (was alleen voor v2 beta toch?) heb ik er niet veel aan . Heb nog niet gekeken of mijn testclient al een IPv6 adresje krijgt. Zo maar eens doen
Maar de tunnel werkt iig, heb meerdere IPv6 sites vanaf console onder pfSense kunnen ping6'en

[databeestje]

bdegroot schreef op donderdag 04 november 2010 @ 16:47:
[...]

Ik heb het nu custom made (met eigen scriptjes) draaien op mijn Pfsense bak, maar het zou mooi zijn indien dat in de interface wordt meegenomen (zoals bij M0n0wall reeds het geval is).

Ik moest ergens beginnen en dit was het. Als ik weet welke commando's er nodig zijn valt dat vast wel ergens in te passen. IK zal me even moeten verdiepen in het geheel.

Overigens staat een 6to4 adapter oid ook op het plan. Alleen zit CARP failover nu even net iets hoger in de lijst.

[Raven]

Mijn test-pc (met XP SP3) krijgt geen verbinding met IPv6 sites (Google even als voorbeeld):

code:

Microsoft Windows XP [versie 5.1.2600]
(C) Copyright 1985-2001 Microsoft Corp.

C:\Documents and Settings\Administrator>ping6 ipv6.google.com

Bezig met pingen van ipv6.l.google.com [2a00:1450:8001::63]
vanaf 2001:470:1f14:e04:fca2:5a6:af78:e7ad met 32 bytes aan gegevens:

Antwoord van 2001:470:1f14:e04:fca2:5a6:af78:e7ad: Doeladres niet bereikbaar.
Antwoord van 2001:470:1f14:e04:fca2:5a6:af78:e7ad: Doeladres niet bereikbaar.
Antwoord van 2001:470:1f14:e04:fca2:5a6:af78:e7ad: Doeladres niet bereikbaar.
Antwoord van 2001:470:1f14:e04:fca2:5a6:af78:e7ad: Doeladres niet bereikbaar.

Ping-statistieken voor 2a00:1450:8001::63:
    Pakketten: verzonden = 4, ontvangen = 0, verloren = 4
               (100% verlies),

C:\Documents and Settings\Administrator>

edit: Ook niet via de browser dus

Ik vermoed dat de firewall nog dwarszit, ondanks het aanvinken van "allow all IPv6 traffic":


edit: net even reboot van pfSense gedaan, zie deze melding nog wel in log:

code:

rtadvd[843]: <getconfig> em0 isn't defined in the configuration file or the configuration file doesn't exist. Treat it as default

Dat screenshot is ook vaag.
Net weer ping6jes zitten doen vanaf router zelf, die worden netjes beantwoord maar staan wel als blocked in firewall log

En ik ben net tot de ontdekking gekomen dat bij het starten van die 2 scripts het CF-kaartje schrijfbaar moet zijn en niet read-only.... (Draai embedded versie.)

[ Voor 21% gewijzigd door Raven op 04-11-2010 20:30 ]

[databeestje]

Wat je ziet is dat de XP PC router sollicitaties uit stuurt naar ff02::01. Dit is het multicast adres voor routers.

Check of rtadvd op je pfSense machien aan staat op je LAN interface.
ps auxww|grep rtadvd
Wat ik net bedenk is dat je firewall rules voor dit multicast adres aan zal moeten maken. In mijn versie worden deze specifieke regels al in de achtergrond aangemaakt.

Ik heb eerlijk gezegd geen idee of de ui in 1.2.3 je dat toestaat. Misschien dat een any any rule op je lan interface het wel op pikt. dat wil zeggen, elke bron, elke bestemming.

Als dat niet werkt zal je misschien toch aan 2.0 BETA 4 moeten. Het is inmiddels wel zo dat deze al op veel plaatsen in productie is. Dan met name bij klanten die een actief support contract hebben. Op het werk gebruiken we het voor onze SSL VPN server in combinatie met AD authenticatie. Viscosity op de Mac werkt hier erg goed mee, en nog beter nieuws is dat deze client naar windows komt!

Bewaar een 1.2.3 config.xml en houd de live cd bij de hand. Als je dat hebt kan je snel weer terug als 2.0 je niet bevalt. Als je de config.xml op een usb stick zet in een \conf directory dan pickt de live cd hem automatisch op. Deze wordt tijdens het installeren dan ook meteen meegenomen.

[bdegroot]

databeestje schreef op donderdag 04 november 2010 @ 19:18:
[...]


Ik moest ergens beginnen en dit was het. Als ik weet welke commando's er nodig zijn valt dat vast wel ergens in te passen. IK zal me even moeten verdiepen in het geheel.

Overigens staat een 6to4 adapter oid ook op het plan. Alleen zit CARP failover nu even net iets hoger in de lijst.

Dat snap ik. Het is een "nice-to-have"
En opzich is de werkwijze van SixXS niet heel erg anders. Zij gebruiken 3 verschillende aansluitvarianten.

• Standaard protocol 41 tunnel (voor vaste IP-adressen), werkt zo goed als hetzelfde als bij HE.
• Hartbeat tunnel (voor dynamische ipv4-adressen), werkt middels eigen tooltje genaamd AICCU
• AYIYA tunnel (voor dynamische ipv4-adressen achter een NAT-verbinding), werkt middels eigen tooltje genaamd AICCU

AICCU is wel een mooi tooltje, dat doet al het instelwerk voor je, routes, interface de hele zooi.
Info:
http://www.sixxs.net/wiki/FreeBSD-IPv6-Hartbeat
http://www.sixxs.net/faq/...y/?faq=ossetup&os=freebsd
http://www.sixxs.net/wiki/Aiccu/Installation

Zo heeft m0n0wall het geimplementeerd:

[Freeaqingme]

Heeft dat nou nog zin, /64 prefixes masken? Met een /64 prefix heb je aan de andere kant nog +/- 1.8E19 adressen om te scannen (als je iets van plan zou zijn)...

[bdegroot]

Freeaqingme schreef op donderdag 04 november 2010 @ 21:43:
Heeft dat nou nog zin, /64 prefixes masken? Met een /64 prefix heb je aan de andere kant nog +/- 1.8E19 adressen om te scannen (als je iets van plan zou zijn)...

Ach... ben paranoia van beroep....(iets met IT audit)...

[Raven]

databeestje schreef op donderdag 04 november 2010 @ 20:33:
Wat je ziet is dat de XP PC router sollicitaties uit stuurt naar ff02::01. Dit is het multicast adres voor routers.

Check of rtadvd op je pfSense machien aan staat op je LAN interface.
ps auxww|grep rtadvd
Wat ik net bedenk is dat je firewall rules voor dit multicast adres aan zal moeten maken. In mijn versie worden deze specifieke regels al in de achtergrond aangemaakt.

Ik heb eerlijk gezegd geen idee of de ui in 1.2.3 je dat toestaat. Misschien dat een any any rule op je lan interface het wel op pikt. dat wil zeggen, elke bron, elke bestemming.

Als dat niet werkt zal je misschien toch aan 2.0 BETA 4 moeten. Het is inmiddels wel zo dat deze al op veel plaatsen in productie is. Dan met name bij klanten die een actief support contract hebben. Op het werk gebruiken we het voor onze SSL VPN server in combinatie met AD authenticatie. Viscosity op de Mac werkt hier erg goed mee, en nog beter nieuws is dat deze client naar windows komt!

Bewaar een 1.2.3 config.xml en houd de live cd bij de hand. Als je dat hebt kan je snel weer terug als 2.0 je niet bevalt. Als je de config.xml op een usb stick zet in een \conf directory dan pickt de live cd hem automatisch op. Deze wordt tijdens het installeren dan ook meteen meegenomen.

code:

[[e-mail]]/root(1): ps auxww|grep rtadvd
root     846  0.0  0.1  3156  1012  ??  Ss    8:08PM   0:00.14 /usr/sbin/rtadvd -d -D -c /etc/rtadvd.conf em0
root   11999  0.0  0.0   376   256  p0  R+   10:09PM   0:00.00 grep rtadvd
[[e-mail]]/root(2):

em0 = LAN.

Uhm, dus dat ene vinkje van Allow IPv6 traffic (All IPv6 traffic will be blocked unless this box is checked) is niet voldoende?

Die any any rule staat al in een van die scripts (10_config-ipv6-pf.sh), zie Raven in "Het grote IPv6 topic"

Als het niet onder v1.2.3 zou werken, waarom is de howto die ik heb gebruikt dan specifiek gericht op v1.2.3?

edit: Hmm, net even Windows 7 geprobeerd (testte voorheen met XP), hier kan ik ook geen IPv6 sites bezoeken, maar krijg wel antwoord via een ping -6 naar ipv6.google.com, al zitten er wel een paar time-outs tussen.
En nu doelhost is niet bereikbaar

[ Voor 4% gewijzigd door Raven op 05-11-2010 17:39 ]

[Raven]

Pfffff, ik wist dat het geen goed idee was om half slapende (afgelopen zondagnacht na 7.5u wachten op Amersfoort CS) met scripts aan de gang te gaan....

/etc/rtadvd.conf

code:

em0:\
:addrs#1:addr="2001:****:1f14:****::":prefixlen#64:tc=ether:

-->

code:

em0:\
:addrs#1:addr="2001:****:1f15:****::":prefixlen#64:tc=ether:

Erg klein foutje, maar het werkt nu
Zowel XP desktop als 7 op laptop kunnen IPv6 sites bezoeken

Nu alleen nog oplossing vinden voor het readonly probleem, misschien handig om /etc/rc.conf_mount_rw aan begin en /etc/rc.conf_mount_ro aan het einde van de scripts te zetten.

[ Voor 25% gewijzigd door Raven op 17-06-2016 11:40 ]

[databeestje]

Het is veruit de meest gemaakte fout die ik op de diverse fora heb gezien. Het routed subnet verschilt 1 karakter met het subnet dat voor de routing gebruikt wordt van de gif tunnel.

Ik heb kortstondig naar de aiccu utility gekeken op de wiki's maar nog niet direct een beeld kunnen vormen. De static tunnel config van Sixxs is overigens hetzelfde als bij Hurricane Electric. Dus dat scheelt weer.
Het automatische herconfigureer karakter van aiccu speelt wat parten in pfSense, dat wil zeggen, de staat van het systeem verandert en pfSense weet dat niet. Het ziet niet in de config.

Overigens krijg ik aankomende week mijn native xs4all ipv6 blok voor onze colocatie. Ik kijk er naar uit. Dan kan ik het eindelijk failover fatsoenlijk testen en onze eerste NS op ipv6 op het net toveren.

[Mawlana]

Raven schreef op vrijdag 05 november 2010 @ 20:09:
Pfffff, ik wist dat het geen goed idee was om half slapende (afgelopen zondagnacht na 7.5u wachten op Amersfoort CS) met scripts aan de gang te gaan....

/etc/rtadvd.conf

code:

em0:\
:addrs#1:addr="2001:470:1f14:e04::":prefixlen#64:tc=ether:

-->

code:

em0:\
:addrs#1:addr="2001:470:1f15:e04::":prefixlen#64:tc=ether:

Erg klein foutje, maar het werkt nu
Zowel XP desktop als 7 op laptop kunnen IPv6 sites bezoeken

Gelukkig, ik ben dus niet de enige die een dergelijk foutje heeft gemaakt.

[Raven]

Wat een opluchting dat ik niet de enige ben

databeestje schreef op vrijdag 05 november 2010 @ 22:41:
Overigens krijg ik aankomende week mijn native xs4all ipv6 blok voor onze colocatie. Ik kijk er naar uit. Dan kan ik het eindelijk failover fatsoenlijk testen en onze eerste NS op ipv6 op het net toveren.

Ondertussen al iets bekend over andere ISP's die dat aanbieden?
Van Ziggo al hele tijd niks meer gehoord, ging gerucht dat ze er mee bezig waren, verder niet...

[ Voor 84% gewijzigd door Raven op 06-11-2010 11:14 ]

[axis]

Raven schreef op zaterdag 06 november 2010 @ 11:11:
Wat een opluchting dat ik niet de enige ben


[...]

Ondertussen al iets bekend over andere ISP's die dat aanbieden?
Van Ziggo al hele tijd niks meer gehoord, ging gerucht dat ze er mee bezig waren, verder niet...

Naja, de colo-markt en de connectiviteit-markt lopen niet altijd samen, ik heb het idee dat er veel meer datacenters klaar zijn voor ipv6 dan end-user ISP's.. Datacenter waar databeestje en ik zitten krijgen we native ipv6, net zoals bij BIT, interconnect, en vast nog een heleboel meer. ISP's is echter een ander verhaal. Bij xs4all en tweak kun je een tunneltje krijgen, maar hoe het zit met andere ISP's weet ik niet. Waar ik uiteindelijk op zit te wachten is het moment dat ISP's routers gaan uitleveren aan klanten die by default ipv6 aan hebben staan, en dat dus ook m'n oma 'ipv6 doet'. Dan krijg je pas user adoption. Die paar nerds die nu een tunnel aanvragen zet ook niet echt zoden aan de dijk.

Bij ziggo zakelijk gaven ze een jaar geleden aan dat ze korte-termijn plannen hadden. Nu verneem ik via de ipv6tf dat ze bezig zijn met tests, maar ik neem aan dat iedere ISP dat nu is..

[ Voor 13% gewijzigd door axis op 06-11-2010 12:46 ]

[Osiris]

axis schreef op zaterdag 06 november 2010 @ 12:44:
[...]

Bij xs4all en tweak kun je een tunneltje krijgen, maar hoe het zit met andere ISP's weet ik niet. Waar ik uiteindelijk op zit te wachten is het moment dat ISP's routers gaan uitleveren aan klanten die by default ipv6 aan hebben staan, en dat dus ook m'n oma 'ipv6 doet'. Dan krijg je pas user adoption.

XS4ALL doet native IPv6 voor z'n klanten hè? Enige reden waarom "Oma" nog geen IPv6 heeft is omdat de modem/routers vaak nog in een beta-stadium zijn of dat 't wellicht expliciet aangezet moet worden.

[databeestje]

Afgelopen week het 1ste /64 van Xs4all gekregen, wel leuk, maar ik heb er dus nog 3 nodig voor de resterende netwerken welke in gebruik zijn achter de firewall.

Dat bestaat nu uit een sync, dmz, en lan netwerk. Daar gebruik ik nu prive ranges maar daar kan ik niet mee internetten. Aangezien het allemaal publiekelijk gerouteerd netwerk verkeer moet zijn en NAT ipv6 niet bestaat kan ik geen site-local adressen gebruiken en deze dan 1:1 NATten naar het publieke wan netwerk.

Ik voorzie routing tables from hell op edge routers. Je kan niet simpel een /48 naar iemand toe ketsen. Het moet naar mijn router gestuurd worden wil ik deze netwerken kunnen gebruiken.

In ander nieuws, er is ineens onderhoud in gepland voor 1 van de FTTO verbindingen van de KPN. Stille hoop dat ze IPv6 erop gaan configureren. Geen idee hoe ze dat gaan doen aangezien zou de router niet meer in beheer hebben. Ik zie vanzelf wel een stukje cisco ios tegemoet. Het is dat of een belletje dat het onderhoud niet gelukt is...

[moto-moi]

databeestje schreef op donderdag 11 november 2010 @ 09:42:
Afgelopen week het 1ste /64 van Xs4all gekregen, wel leuk, maar ik heb er dus nog 3 nodig voor de resterende netwerken welke in gebruik zijn achter de firewall.

Hoeveel systemen heb je dat meer dan 18.446.744.073.709.551.616 adressen nodig hebt?

Volgens mij wil je gewoon die range breken in kleine stukjes en niemand houdt je tegen dat te doen?

[axis]

databeestje schreef op donderdag 11 november 2010 @ 09:42:
Afgelopen week het 1ste /64 van Xs4all gekregen, wel leuk, maar ik heb er dus nog 3 nodig voor de resterende netwerken welke in gebruik zijn achter de firewall.

Dat bestaat nu uit een sync, dmz, en lan netwerk. Daar gebruik ik nu prive ranges maar daar kan ik niet mee internetten. Aangezien het allemaal publiekelijk gerouteerd netwerk verkeer moet zijn en NAT ipv6 niet bestaat kan ik geen site-local adressen gebruiken en deze dan 1:1 NATten naar het publieke wan netwerk.

Ik voorzie routing tables from hell op edge routers. Je kan niet simpel een /48 naar iemand toe ketsen. Het moet naar mijn router gestuurd worden wil ik deze netwerken kunnen gebruiken.

In ander nieuws, er is ineens onderhoud in gepland voor 1 van de FTTO verbindingen van de KPN. Stille hoop dat ze IPv6 erop gaan configureren. Geen idee hoe ze dat gaan doen aangezien zou de router niet meer in beheer hebben. Ik zie vanzelf wel een stukje cisco ios tegemoet. Het is dat of een belletje dat het onderhoud niet gelukt is...

Geen probleem, kun je aangeven bij xs4all, and dan krijg je waarschijnlijk een /48 die dan over je huidige /64 wordt gerouteeerd naar je firewall.. Kun je zelf weer subnetten.

[axis]

moto-moi schreef op donderdag 11 november 2010 @ 09:59:
[...]

Hoeveel systemen heb je dat meer dan 18.446.744.073.709.551.616 adressen nodig hebt?

Volgens mij wil je gewoon die range breken in kleine stukjes en niemand houdt je tegen dat te doen?

Aanbeveling is dat /64's niet meer opgeknipt worden, rechtse 64 bits is voor host address (hoewel je natuurlijk wel *kunt* opknippen). In dit geval kun je niet subnetten, want je zit direct achter de router van je colocation provider, en je kunt dus zelf geen routes definieren.

[TrailBlazer]

kleiner gaan op een LAN dan /64 is echt een drama. Hele autoconfiguration is gebaseerd op het /64 mask.

[axis]

Osiris schreef op zaterdag 06 november 2010 @ 13:55:
[...]

XS4ALL doet native IPv6 voor z'n klanten hè? Enige reden waarom "Oma" nog geen IPv6 heeft is omdat de modem/routers vaak nog in een beta-stadium zijn of dat 't wellicht expliciet aangezet moet worden.

Nou ja, ligt een beetje aan de definitie van native.. Je moet zelf de ipv6 config toevoegen aan je PPPoA tunnel. Maar goed, het is meer native dan een 6-in-4 tunneltje inderdaad.

Ik zal pas echt blij zijn als providers routertjes gaan uitdelen aan iedereen (inclusief oma's) waarbij ipv6 by default aan staat

[DDX]

Waarom zou je alleen autoconfiguration gaan gebruiken bij colocation ?
Is misschien leuk voor in je office omgeving voor de clients.

Bij servers configureer ik liever zelf de ip's (meestal meerdere als het een webserver is)

[moto-moi]

axis schreef op donderdag 11 november 2010 @ 10:02:
Aanbeveling is dat /64's niet meer opgeknipt worden, rechtse 64 bits is voor host address (hoewel je natuurlijk wel *kunt* opknippen). In dit geval kun je niet subnetten, want je zit direct achter de router van je colocation provider, en je kunt dus zelf geen routes definieren.

Hm, die aanbeveling kende ik niet. Ik was eigenlijk van plan om op kantoor dat wel te doen, ik zal vast ook een /48 krijgen en ik heb zo'n 40 clients op een drukke dag

[TrailBlazer]

dan heb je nog wat ruimte voor groei.
In een server omgeving is autoconfiguration minder van belang inderdaad. Ik kan ook geen redenen bedenken waarom < /64 een probleem zou kunnen zijn

[axis]

moto-moi schreef op donderdag 11 november 2010 @ 10:20:
[...]

Hm, die aanbeveling kende ik niet. Ik was eigenlijk van plan om op kantoor dat wel te doen, ik zal vast ook een /48 krijgen en ik heb zo'n 40 clients op een drukke dag

Al heb je drie clients, het aantal hosts dat in een netwerk zit is niet meer zo belangrijk. Het gaat erom dat ieder 'netwerk' een eigen subnet krijgt (en het kleinste is dus een /64).. We zijn nog heel erg gewend om net zoals bij ipv4 te kijken naar hoeveel hosts we hebben in een netwerk, en dan zo'n klein mogelijk subnetje te geven.. Bij ipv6 is dat niet meer echt van toepassing.

Ik vermoed dat in de komende 5 jaar het zo zal gaan zijn dat iedere particuliere gebruiker een enkele /64 krijgt, en als zakelijke gebruiker een /48 die je zelf kunt subnetten. (Of een /56 wellicht).

[CyBeR]

moto-moi schreef op donderdag 11 november 2010 @ 10:20:
[...]

Hm, die aanbeveling kende ik niet. Ik was eigenlijk van plan om op kantoor dat wel te doen, ik zal vast ook een /48 krijgen en ik heb zo'n 40 clients op een drukke dag

Als je van automatische addressering gebruik wilt maken moet je een /64 gebruiken, anders werkt het niet eens. Kleinere (en grotere, feitelijk) subnets dan dat zijn voor handmatige configuratie. Werkt ook, maar is niet nodig.

Zie een /64 als de nieuwe rfc1918 /24.

[moto-moi]

CyBeR schreef op donderdag 11 november 2010 @ 11:36:
Als je van automatische addressering gebruik wilt maken moet je een /64 gebruiken, anders werkt het niet eens. Kleinere (en grotere, feitelijk) subnets dan dat zijn voor handmatige configuratie. Werkt ook, maar is niet nodig.

Dat snap ik, maar ik wil eigenlijk dhcpv6 gaan gebruiken zodat ik de range die ik gekregen heb kan opdelen in verschillende ranges (servers, desktops, testnetwerk).

[CyBeR]

moto-moi schreef op donderdag 11 november 2010 @ 12:21:
[...]

Dat snap ik, maar ik wil eigenlijk dhcpv6 gaan gebruiken zodat ik de range die ik gekregen heb kan opdelen in verschillende ranges (servers, desktops, testnetwerk).

Dat kan, want als 't goed is heb je een /48 of /56 gekregen en die kun je opdelen in een paar duized /64s. DHCPv6 wil ook een /64 namelijk.

[moto-moi]

CyBeR schreef op donderdag 11 november 2010 @ 12:46:
Dat kan, want als 't goed is heb je een /48 of /56 gekregen en die kun je opdelen in een paar duized /64s. DHCPv6 wil ook een /64 namelijk.

In de configgenerator van xs4all zie ik alleen maar /64's voorkomen, geen /48 ? Al is m'n IPv6 prefix wel een /48

[Olaf van der Spek]

CyBeR schreef op donderdag 11 november 2010 @ 12:46:
Dat kan, want als 't goed is heb je een /48 of /56 gekregen en die kun je opdelen in een paar duized /64s. DHCPv6 wil ook een /64 namelijk.

Een /56 opdelen in een paar duizend lijkt me een beetje lastig. Gok dat het rond de 256 wordt.

[CyBeR]

Olaf van der Spek schreef op donderdag 11 november 2010 @ 13:43:
[...]

Een /56 opdelen in een paar duizend lijkt me een beetje lastig. Gok dat het rond de 256 wordt.

Ja dat krijg je als je te lui bent om 't uit te rekenen

moto-moi schreef op donderdag 11 november 2010 @ 13:40:
[...]

In de configgenerator van xs4all zie ik alleen maar /64's voorkomen, geen /48 ? Al is m'n IPv6 prefix wel een /48

Dat komt overeen met het idee dat het idee is dat je per subnet een /64 hebt, die allemaal uit een /48 komen.

[Olaf van der Spek]

CyBeR schreef op donderdag 11 november 2010 @ 13:59:
Dat komt overeen met het idee dat het idee is dat je per subnet een /64 hebt, die allemaal uit een /48 komen.

Waarom eigenlijk /48? Zijn meer dan 250 subnets nodig? Lijkt me zo'n verspilling van adresruimte.

[CyBeR]

Olaf van der Spek schreef op donderdag 11 november 2010 @ 18:40:
[...]

Waarom eigenlijk /48? Zijn meer dan 250 subnets nodig? Lijkt me zo'n verspilling van adresruimte.

Over /48 versus /56 voor thuisgebruikers wordt nog druk gediscussieerd geloof ik. Ik ben 't op zich ook wel met het idee eens dat de meeste mensen thuis geen 65k subnets nodig gaan hebben. (Zelfs niet meer dan 1, meestal, maar goed de mogelijkheid hebben is zeker nuttig.) Voor zakelijke aansluitingen is 't wat mij betreft prima om daar standaard een /48 heen te sturen.

En vergeet niet, zelfs een /48 prefix is al 16 bits groter dan IPv4 in z'n geheel. Er zijn er (in het ideale geval) 2^48, ofwel 281474976710656, wat al ruwweg 40.000 keer zoveel is als er mensen op de aarde rondlopen. Van opraken is voorlopig dus geen sprake.

[databeestje]

Zoals al eerder werd aangegeven is het niet praktisch om met de /64 regel te breken. Dat is buiten de spevs waarna de hele zooi in elkaar dondert. Het goeie nieuws dat xs4all het geen punt vind om de /48 naar een ip naar keuze uit de /64 te sturen.

PfSense doos is nu succesvol online iig en ik kan ipv6 op het man netwerk.

Is er ook een mobiel got dat sneller werkt op de bb storm?

[axis]

Hoppa, en X-day is opeens een stukje naar voren geknald..



Maar volgende auteur van die site, Geoff Huston, worden voorspellingen alleen maar onnauwkeuriger naarmate we dichter bij x-day komen: http://www.potaroo.net/ispcol/2010-10/when.html

Leuk leesvoer trouwens..

edit: de onverwachte sprong is omdat AfriNIC opeens een blokje heeft gekregen (105/8 tabel)

[ Voor 20% gewijzigd door axis op 17-11-2010 15:42 ]

[Roetzen]

axis schreef op woensdag 17 november 2010 @ 14:45:
Hoppa, en X-day is opeens een stukje naar voren geknald..

En de concurrent onderschrijft dat:
http://www.ipv4depletion.com/?page_id=326

Maar volgende auteur van die site, Geoff Huston, worden voorspellingen alleen maar onnauwkeuriger naarmate we dichter bij x-day komen: http://www.potaroo.net/ispcol/2010-10/when.html

Heb ik ook gelezen. Maar die onzekerheid is maar relatief. Waar de voorspellingen van Lagerholm en Huston een paar jaar geleden nog bijna een jaar uit elkaar lagen, zijn ze elkaar nu tot bijna een maand genaderd.
Er is nu zo weinig over dat het eindspel nog maar voor weinig verassingen kan zorgen. Het gaat tussen Kerstmis van dit jaar en Pasen van volgend jaar gebeuren.

Leuk leesvoer trouwens..

Inderdaad, leuk om te volgen allemaal...

[Freeaqingme]

Roetzen schreef op woensdag 17 november 2010 @ 20:51:
Het gaat tussen Kerstmis van dit jaar en Pasen van volgend jaar gebeuren.

Nouja, dan zijn er geen /8's meer om uit te delen. Betekent natuurlijk niet (helaas(?)) dat consumenten er dan ook meteen wat van zullen merken. Die datum lijkt me (1) veel spectaculairder, en (2) veel onzekerder.

[Roetzen]

Freeaqingme schreef op woensdag 17 november 2010 @ 23:08:
[...]
Nouja, dan zijn er geen /8's meer om uit te delen. Betekent natuurlijk niet (helaas(?)) dat consumenten er dan ook meteen wat van zullen merken. Die datum lijkt me (1) veel spectaculairder, en (2) veel onzekerder.

Ja, dat klopt. Waarschijnlijk zullen consumenten nog niet direct iets merken. En de vraag wanneer dan wel, hangt samen met waar. Europa en de VS zijn relatief goed bedeeld, dus de RIRs en de ISPs aldaar hebben nog wel voor een paar jaar reserve. De eerste consument die het met alleen een IPv6 adres zal moeten doen woont waarschijnlijk in Azië. Maar die is dan wel alleen bereikbaar voor degenen in de rest van de wereld die overgeschakeld is op IPv6. Dus in die zin betreft dat iedereen. Wanneer dat gaat gebeuren? Binnen drie jaar schat ik. Ik zeg er bij dat mijn voorspellingen notoir onbetrouwbaar zijn.

[Kees]

Roetzen schreef op donderdag 18 november 2010 @ 01:42:
[...]

De eerste consument die het met alleen een IPv6 adres zal moeten doen woont waarschijnlijk in Azië. Maar die is dan wel alleen bereikbaar voor degenen in de rest van de wereld die overgeschakeld is op IPv6. Dus in die zin betreft dat iedereen. Wanneer dat gaat gebeuren? Binnen drie jaar schat ik. Ik zeg er bij dat mijn voorspellingen notoir onbetrouwbaar zijn.

De eerse ipv6-only abo's zijn er volgens mij allang in india e.d. landen, waarbij je of ipv6 krijgt, of door 5-6 nat lagen heen mag.

Verder; we zijn er echt mee bezig hoor

[Mawlana]

2001:xxxx:1337

haha!

[Roetzen]

Het blok 45/8 wat van Interop was, staat nu weer gerigistreerd bij Arin als niet toegewezen. Dus de pool van Arin staat nu weer op 2,6 /8 blokken. http://www.ipv4depletion.com/

Grappig is dat het script van Huston dat niet aankon. Zijn voorspelling is ineens naar 2030 opgeschoven.

[ Voor 5% gewijzigd door Roetzen op 21-11-2010 18:35 ]

[databeestje]

Het overstappen naar ipv6 is natuurlijk ook weer niet zo hard.

Met wat tijd op de vrijdag vorige week firewall rules geconfigureerd in de Xs4all Colo, ip aan de MX, NS en webserver gehangen en het was geregeld.

Ik heb uiteindelijk langer aan de lijn gehangen om de NS records om te laten zetten en een IPv6 glue record aan te laten maken in de .nl tld voor onze NS.

Hieronder wat sysctls om ervoor te zorgen dat je niet perse een ipv6 stateless config adres krijgt. Als er op het subnet ook een router advertisement daemon draait en je eigenlijk enkel het handmatige adres wil gebruiken dan werken deze sysctls. Op Debian moest ik er een /etc/init.d/networking restart achteraan mikken.

########## IPv6 networking start ##############
# Number of Router Solicitations to send until assuming no routers are present.
# This is host and not router
net.ipv6.conf.eth0.router_solicitations = 0
# Accept Router Advertisements?
net.ipv6.conf.eth0.accept_ra = 0
# Accept Router Preference in RA?
net.ipv6.conf.default.accept_ra_rtr_pref = 0
net.ipv6.conf.default.autoconf = 0
net.ipv6.conf.default.dad_transmits = 0
net.ipv6.conf.default.max_addresses = 1

# Specifiek voor de eth0
net.ipv6.conf.eth0.autoconf = 0
net.ipv6.conf.eth0.accept_ra = 0

Wat er anders gebeurde was dat de machine zelf een adres kiest voor outbound verbindingen waar de firewall dan weer niets van snapt. Het was even zoeken.

Op het internet is dit ook te vinden onder het kopje hardening the TCP/IP stack.
Laatste post van deze topic legt uit waar het in de Debian /etc/network/interfaces geprakt kan worden.
http://gogonet.gogo6.com/...3731159%3AComment%3A31484

[axis]

Op CentOS/RHEL kun je daarvoor de setting IPV6_AUTOCONF=no toevoegen aan /etc/sysconfig/network, mocht iemand dat nog willen weten

[ Voor 17% gewijzigd door axis op 23-11-2010 17:13 ]

[DDX]

En om dan nog even extra info toe te voegen over verschil tussen sysctl en de ipv6_autoconf setting in sysconfig/network :

To prevent IPv6 addresses from being assigned to certain interfaces without disabling IPv6 globally, the following steps are necessary:

Set IPV6_AUTOCONF=no in /etc/sysconfig/network
Add disable_ipv6 = 1 sysctl parameters to /etc/sysctl.conf for the default interface and all interfaces IPv6 should be disabled on, and disable_ipv6 = 0 sysctl parameters for all interfaces IPv6 should be enabled on

# example: IPv6 should be disabled on eth1 but allowed on eth0
net.ipv6.conf.default.disable_ipv6 = 1
net.ipv6.conf.lo.disable_ipv6 = 0
net.ipv6.conf.eth0.disable_ipv6 = 0
net.ipv6.conf.eth1.disable_ipv6 = 1

Add IPV6INIT=yes to the ifcfg script files for interfaces IPv6 should be enabled on, including the lo loopback interface
/etc/sysconfig/network-scripts/ifcfg-lo

# Do not disable IPv6 on loopback interface!!!!
DEVICE=lo
...
IPV6INIT=yes

/etc/sysconfig/network-scripts/ifcfg-eth0
DEVICE=eth0
...
IPV6INIT=yes
It is not necessary (or helpful) to add IPV6INIT=no statements to interfaces that IPv6 should not run on
Restart the network service after normal server boot is complete.

Here is a comment provided by a senior engineer regarding this issue, I hope this will answer your query.

The IPV6_AUTOCONF /etc/sysconfig/network configuration parameter indirectly controls auto-assignment of IPv6 addresses to network interfaces. The default value is yes, so if /etc/sysconfig/network does not contain the line IPV6_AUTOCONF=no and IPv6 forwarding is not enabled, the /etc/sysconfig/network-scripts/init.ipv6-global script will set kernel IPv6 sysctls for all existing network interfaces to auto-configure IPv6 addresses.

Furthermore, the disable_ipv6 IPv6 interface configuration sysctl needs to be set to 1 to prevent IPv6 address assignment to an interface, but if the interface does not yet exist (such as during a server boot and when the network service is started), having that interface's disable_ipv6 sysctl set to 1 in /etc/sysctl.conf will not work because the interface does not yet exist. Furthermore, it is not considered correct to accomplish disabling of IPv6 on a subset of interfaces by removing configured addresses after they have already been added. Disabling IPv6 by default instead, followed by selectively enabling it only on desired interfaces, is achievable via initscripts and sysctl parameters, and should allow such a configuration to be possible without the risks of "polluting" neighbors with IPv6 neighbor entries that we would not respond to later.

[Verwijderd]

misschien hoort het hier niet thuis of wel dus waag ik het erop:
Kan iemand mij uitleggen waarom ik als gast niet op de hotspot van de EUR rotterdam(waar ik vandaag moet zijn) kan inloggen? is het alleen voor studenten daar en medewerkers en niet voor gasten?

elke udi heeft toch een gast wifi tegenwoordig?

[Onno]

Verwijderd schreef op woensdag 24 november 2010 @ 12:14:
misschien hoort het hier niet thuis of wel

Als jij kunt uitleggen wat je vraag met IPv6 te maken heeft hoort het hier misschien wel. Kun je dat?

[overhyped]

TrailBlazer schreef op donderdag 11 november 2010 @ 10:31:
dan heb je nog wat ruimte voor groei.
In een server omgeving is autoconfiguration minder van belang inderdaad. Ik kan ook geen redenen bedenken waarom < /64 een probleem zou kunnen zijn

de RFC

http://tools.ietf.org/html/rfc4291#section-2.5.1:

For all unicast addresses, except those that start with the binary value 000, Interface IDs are required to be 64 bits long and to be constructed in Modified EUI-64 format

[/quote]

[Lex_brugman]

Onno schreef op woensdag 24 november 2010 @ 12:20:
[...]

Als jij kunt uitleggen wat je vraag met IPv6 te maken heeft hoort het hier misschien wel. Kun je dat?

Misschien lopen zij wel gewoon erg voor op het implementeren van IPv6, wie weet hebben ze een IPv6 only hotspot . Ben ook wel benieuwd...

[Flyduck]

Dit zal vast al ter sprake zijn geweest, maar verwachten jullie dat IPv6 ooit nodig zal zijn op het LAN?
Mijn idee is dat een dual stack op de edge van het netwerk voldoende zal zijn om alles te kunnen blijven benaderen.

[Verwijderd]

Leg jezelf eens uit. Waarom zou je binnen een lan nog IPv4 gebruiken als al je apparatuur IPv6 ondersteunt? Dan zit je nog steeds met NAT en gedoe.

[Olaf van der Spek]

Flyduck schreef op woensdag 24 november 2010 @ 22:41:
Dit zal vast al ter sprake zijn geweest, maar verwachten jullie dat IPv6 ooit nodig zal zijn op het LAN?
Mijn idee is dat een dual stack op de edge van het netwerk voldoende zal zijn om alles te kunnen blijven benaderen.

Hoe wil je een IPv6 host benaderen vanaf een host zonder IPv6?

[Flyduck]

Verwijderd schreef op woensdag 24 november 2010 @ 22:45:
Leg jezelf eens uit. Waarom zou je binnen een lan nog IPv4 gebruiken als al je apparatuur IPv6 ondersteunt? Dan zit je nog steeds met NAT en gedoe.

Omdat al je LAN apparatuur vervangen zodat het IPv6 ondersteunt, het omconfiguren van je complete netwerk / servers / printers / VOIP omgeving etc een gigantische investering is in zowel geld en kennis waarbij het helemaal NIETS oplevert aan functionaliteit.

[Flyduck]

Olaf van der Spek schreef op woensdag 24 november 2010 @ 22:58:
[...]

Hoe wil je een IPv6 host benaderen vanaf een host zonder IPv6?

Ok, dacht dat dat ze daar NAT64 voor uitgevonden hadden, maar moet mij er nog verder in verdiepen.

[Freeaqingme]

Flyduck schreef op woensdag 24 november 2010 @ 22:58:
[...]


Omdat al je LAN apparatuur vervangen zodat het IPv6 ondersteunt, het omconfiguren van je complete netwerk / servers / printers / VOIP omgeving etc een gigantische investering is in zowel geld en kennis waarbij het helemaal NIETS oplevert aan functionaliteit.

Gemiddeld houdt apparatuur 't 3 tot 5 jaar vol. Als je dus een paar jaar geleden begonnen was met het standaard aanzetten van ipv6, ben je over nog eens een paar jaar klaar. Nieuwe apparatuur moet je toch configureren...

Daarnaast mag 't geen extra functionaliteit leveren voor de eindgebruiker, het biedt beheerstechnisch gezien wel voordelen...

[Olaf van der Spek]

Freeaqingme schreef op woensdag 24 november 2010 @ 23:22:
Gemiddeld houdt apparatuur 't 3 tot 5 jaar vol.

Ik zal het aan mijn 10 mbit hub doorgeven. Alhoewel, die is al IPv6 ready...

[CAPSLOCK2000]

Flyduck schreef op woensdag 24 november 2010 @ 22:58:
[...]


Omdat al je LAN apparatuur vervangen zodat het IPv6 ondersteunt, het omconfiguren van je complete netwerk / servers / printers / VOIP omgeving etc een gigantische investering is in zowel geld en kennis waarbij het helemaal NIETS oplevert aan functionaliteit.

Dat zeg je nu. Over 10 jaar vraag je je af waarom je die oude IPv4 meuk nog in stand moet houden want het zou veel goedkoper zijn om intern en extern hetzelfde systeem te gebruiken. Je moet natuurlijk niet van het ene op het andere moment al je apparatuur gaan vervangen maar dat hoeft ook niet. Als je vandaag de dag een beetje oplet bij het inkopen van nieuw spul dan hoef je nauwelijks extra kosten te maken. Als je nog eens vijf jaar gaat wachten dan zul je dan je hele infrastructuur moeten gaan vervangen.

[Jaap-Jan]

Olaf van der Spek schreef op woensdag 24 november 2010 @ 23:49:
[...]

Ik zal het aan mijn 10 mbit hub doorgeven. Alhoewel, die is al IPv6 ready...

Gebruik je die nog? Indien nee: punt bevestigd.

[wouterDE]

Een ideetje

Ik heb een Dynamische ipV4 adres. Ik vraag een tunnel aan via sixxs en krijg dus een statisch IPV6 adres. Dus mijn servers zijn constant bereikbaar via 1 statisch IPV6 adres.

De enige die zouden kunnen verbinden zullen alleen IT mensen zijn die al IPV6 hebben, quassi niemand dus. Kent er iemand een 'reverse tunnel' zodat ik een statisch IPV4 adres krijg die ik dan kan linken aan mijn IPV6 van sixxs ?

Wat een omweg

[moto-moi]

wouterDE schreef op dinsdag 30 november 2010 @ 11:44:
Ik heb een Dynamische ipV4 adres. Ik vraag een tunnel aan via sixxs en krijg dus een statisch IPV6 adres. Dus mijn servers zijn constant bereikbaar via 1 statisch IPV6 adres.

Is het niet veel simpeler om met iets als dyndhs ofzo te gaan werken, dns met een korte timeout enzo?

[Olaf van der Spek]

Jaap-Jan schreef op donderdag 25 november 2010 @ 10:24:
[...]
Gebruik je die nog? Indien nee: punt bevestigd.

Ja!

[databeestje]

Alle switches werken eigenlijk wel prima met IPv6, als het een unmanaged apparaat is toch wel.

Van de managed switches is het iets genuanceerder, het management adres is vaak nog enkel een IPv4 adres. Dat heeft verder geen invloed op het forwarden van verkeer.

Ik denk dat alleen multicast verkeer problemen heeft omdat igmp snooping wellicht de IPv6 multicast niet ondersteund. Fallback is dat alles naar alle poorten toe gaat dus functioneel merkt men dat ook niet direct.

Het is totaal niet handig om intern alleen met v4 te blijven werken, wat niet wil zeggen dat het onmogelijk is. In mijn geval worden de mail servers, name servers en de proxy server van het bedrijfsnetwerk dual stack.

Met de dual stack squid kunnen ze in ieder geval alle websites met ipv6 benaderen wat toch de hoofdmoot zal zijn. De enkele mail server die nu op ipv6 zit forward de mail wel naar de internet ipv4 host.

[Osiris]

wouterDE schreef op dinsdag 30 november 2010 @ 11:44:
De enige die zouden kunnen verbinden zullen alleen IT mensen zijn die al IPV6 hebben, quassi niemand dus. Kent er iemand een 'reverse tunnel' zodat ik een statisch IPV4 adres krijg die ik dan kan linken aan mijn IPV6 van sixxs ?

En wie zou jou dat IPv4-adres moeten geven dan? Die krengen zijn juist zo schaars aan 't worden En je zult d'r natuurlijk voor moeten dokken, áls zoiets al bestaat..

En waarom de omweg via IPv6 als je, mocht dat dus bestaan, je ook gewoon een IPv4-in-IPv4-tunnel zou kunnen maken?

[wouterDE]

Osiris schreef op dinsdag 30 november 2010 @ 17:54:
[...]

En wie zou jou dat IPv4-adres moeten geven dan? Die krengen zijn juist zo schaars aan 't worden En je zult d'r natuurlijk voor moeten dokken, áls zoiets al bestaat..

En waarom de omweg via IPv6 als je, mocht dat dus bestaan, je ook gewoon een IPv4-in-IPv4-tunnel zou kunnen maken?

Daar had ik idd niet aan gedacht Nog beetje verder klooien met dns dan.


Vanaf januari ondersteund mijn provider native ipv6. Jammer dat mijn d-link DSL-2740B dit niet aankan

[Roetzen]

wouterDE schreef op dinsdag 30 november 2010 @ 20:26:
[...]
Vanaf januari ondersteund mijn provider native ipv6. Jammer dat mijn d-link DSL-2740B dit niet aankan

Beter dan andersom zou ik zeggen. Jouw probleem is oplosbaar door een andere router te kopen. Mijn provider (Ziggo) zegt nog niks aan IPv6 te doen. Dat los ik niet op met een andere router.

[Roetzen]

Nou gaat het inneens hard: http://www.ipv4depletion.com/?p=519#comments


Only 2 x /8 left, Party is over!2010-11-30
Posted by ipv4depletion | 9 Comments »

Today IANA announced that RIPE allocated 5/8 and 37/8 and that ARIN allocated 23/8 and100/8

This leaves only 2 x /8 in the IANA pool that APNIC most likely will pick up in the beginning of next year.

That’s it, no more IPv4 addresses, party is over, go home. We had 40 six-packs of beer when the party started, now there are only 2 bottles left…

/S

[Osiris]

wouterDE schreef op dinsdag 30 november 2010 @ 20:26:
[...]

Vanaf januari ondersteundTTTTTTTTTTTTTT mijn provider native ipv6. Jammer dat mijn d-link DSL-2740B dit niet aankan

Welke provider is dat?

[CyBeR]

Roetzen schreef op dinsdag 30 november 2010 @ 22:56:
Nou gaat het inneens hard: http://www.ipv4depletion.com/


Only 2 x /8 left, Party is over!2010-11-30
Posted by ipv4depletion | No Comments »

Today IANA announced that RIPE allocated 5/8 and 37/8 and that ARIN allocated 23/8 and100/8

This leaves only 2 x /8 in the IANA pool that APNIC most likely will pick up in the beginning of next year.

That’s it, no more IPv4 addresses, party is over, go home. We had 40 six-packs of beer when the party started, now there are only 2 bottles left…

/S

7 bottles bedoelt 'ie.

[Roetzen]

CyBeR schreef op dinsdag 30 november 2010 @ 23:08:
[...]
7 bottles bedoelt 'ie.

IANA zal de laatste vijf vrije blokken in één keer uitdelen aan de vijf RIRs. Dus als straks APNIC twee blokken aanvraagt, gaan de resterende vijf er ook meteen in één keer uit en dan is het einde oefening. Lagerholm heeft die laatste vijf blokken al meegerekend.

[CyBeR]

Roetzen schreef op woensdag 01 december 2010 @ 00:28:
[...]

IANA zal de laatste vijf vrije blokken in één keer uitdelen aan de vijf RIRs. Dus als straks APNIC twee blokken aanvraagt, gaan de resterende vijf er ook meteen in één keer uit en dan is het einde oefening. Lagerholm heeft die laatste vijf blokken al meegerekend.

Ja, maar dat houdt dus wel in dat er geen twee maar vijf /8's beschikbaar zijn voor de RIRs.

[Roetzen]

CyBeR schreef op woensdag 01 december 2010 @ 01:05:
[...]
Ja, maar dat houdt dus wel in dat er geen twee maar vijf /8's beschikbaar zijn voor de RIRs.

Eh nee. Het houdt in dat de laatste die nu nog twee blokken aanvraagt er drie krijgt en de overige vier er nog één krijgen.

Wat Lagerholm bedoelt met "two left" is dat als die twee opgevraagd worden, het spel uit is